Function Compute, sizin adınıza diğer Alibaba Cloud hizmetlerine erişmek için AliyunServiceRoleForFC hizmet bağlantılı rolünü kullanır. Bu role eklenen sistem ilkesi AliyunServiceRolePolicyForFC'dir.
Function Compute 3.0, AliyunServiceRoleForFC rolünü tek tek işlevlere bağlamanıza olanak tanır; böylece her işleve yalnızca ihtiyaç duyduğu izinler verilir (en az yetki ilkesi).
Bu rolün ne zaman gerekli olduğu
VPC ağ yapılandırması: İşlevleri VPC'lere, vSwitch'lere veya esnek ağ arayüzlerine (ENI) bağlayarak güvenli özel ağ iletişimi sağlar.
Konteyner görüntüsü dağıtımı: Görüntü tabanlı işlevler oluşturmak üzere Container Registry'den görüntüler çeker.
Olay güdümlü mesajlaşma: ApsaraMQ, Simple Message Queue (eski adıyla MNS), EventBridge ve Function Flow'dan gelen olayları izleyip tüketerek işlev çalıştırmayı tetikler.
Günlük yönetimi: Arama, analiz, görselleştirme ve sorun giderme amacıyla işlev yürütme günlüklerini Simple Log Service'e toplar.
İlke içeriği
AliyunServiceRolePolicyForFC, VPC, ECS, Simple Log Service ve Container Registry hizmetlerine erişim izni verir; bu sayede VPC bağlantısı, görüntü çekme, kaynak geri kazanımı ve günlük dışa aktarma işlemleri etkinleştirilir.
{
"Version": "1",
"Statement": [
{
"Action": [
"vpc:DescribeVSwitchAttributes",
"vpc:DescribeVpcAttribute"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"ecs:CreateNetworkInterface",
"ecs:DeleteNetworkInterface",
"ecs:DescribeNetworkInterfaces",
"ecs:CreateNetworkInterfacePermission",
"ecs:DeleteNetworkInterfacePermission",
"ecs:DescribeNetworkInterfacePermissions"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"cr:PullRepository",
"cr:GetArtifactTag",
"cr:GetAuthorizationToken",
"cr:GetRepository",
"cr:GetRepositoryTag",
"cr:GetRepoTagManifest",
"cr:GetRepositoryManifest",
"cr:GetInstanceVpcEndpoint",
"cr:GetInstance",
"cr:GetNamespace",
"cr:GetArtifactBuildRule",
"cr:CreateArtifactBuildTask"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"fc:InvokeFunction",
"eventbridge:PutEvents",
"mq:PUB",
"mq:OnsInstanceBaseInfo",
"mns:SendMessage",
"mns:PublishMessage",
"fnf:ReportTaskSucceeded",
"fnf:ReportTaskFailed"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"log:CreateProject",
"log:CreateLogStore",
"log:GetProject",
"log:GetLogStore",
"log:DeleteProject",
"log:DeleteLogStore",
"log:GetLogStoreLogs"
],
"Resource": [
"acs:log:*:*:project/aliyun-fc-*",
"acs:log:*:*:project/*/logstore/function-log*"
],
"Effect": "Allow"
},
{
"Action": [
"log:PostLogStoreLogs"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Action": [
"ram:GetRole"
],
"Resource": "*",
"Effect": "Allow"
},
{
"Effect": "Allow",
"Action": "ram:DeleteServiceLinkedRole",
"Resource": "*",
"Condition": {
"StringEquals": {
"ram:ServiceName": "fc.aliyuncs.com"
}
}
}
]
}Hizmet bağlantılı rolü oluşturma
Function Compute 3.0 konsolu üzerinde oturum açtığınızda, AliyunServiceRoleForFC henüz mevcut değilse sistem bu rolü oluşturmanızı ister. Onayladığınızda, AliyunServiceRolePolicyForFC ilkesi eklenmiş olarak rol oluşturulur.
Rolün başarıyla oluşturulduğunu doğrulayın:
RAM konsolundaki Roles sayfasını kontrol edin.
ListRoles API işlemini çağırın.
Function Compute 3.0 konsolu üzerinde tekrar oturum açın — başarılı giriş, rolün var olduğunu teyit eder.
Hizmet bağlantılı rolü silme
AliyunServiceRoleForFC rolünün silinmesi, Function Compute 3.0 konsolu nun düzgün çalışmasını engeller. Dikkatli ilerleyin.
Hizmet bağlantılı rolü RAM konsolunda silmek için:
Bir RAM yöneticisi olarak RAM konsolu üzerinde oturum açın.
Soldaki gezinme bölmesinden şuraya gidin: .
Roles sayfasında silmek istediğiniz RAM rolünü bulun ve Actions sütunundaki Delete Role seçeneğini tıklayın.
-
Delete Role iletişim kutusunda rolün adını girin ve Delete Role düğmesini tıklayın.
RAM, herhangi bir bulut kaynağının hâlâ bu rolü kullanıp kullanmadığını denetler. Bağımlılıklar varsa silme işlemi başarısız olur. Hata mesajında gösterilen bağımlı kaynakları kaldırın ve yeniden deneyin.
RAM kullanıcı izinleri
Bir RAM kullanıcısının bu rolü oluşturmasına veya silmesine izin vermek için Alibaba Cloud hesabınızdan ram:CreateServiceLinkedRole ve ram:DeleteServiceLinkedRole izinlerini verin veya AliyunRAMFullAccess ilkesini ekleyin.
Özel ilke örneği:
{
"Version": "1",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ram:CreateServiceLinkedRole",
"ram:DeleteServiceLinkedRole"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"ram:ServiceName": "fc.aliyuncs.com"
}
}
}
]
}